Herramientas de Proxy — Uso con CLI, Scripts y Thick Clients

#proxy #webproxy #burp #zap #cli #proxychains #metasploit #http #intercept

(Uso de Burp/ZAP con herramientas CLI y clientes thick)

Los servidores proxy web no solo sirven para interceptar tráfico del navegador: también podemos usarlos para ver, modificar e investigar el tráfico HTTP generado por:

🛠️ Herramientas de línea de comandos (cURL, wget, etc.)
🐚 Scripts personalizados
🏢 Clientes gruesos (thick clients)
⚙️ Herramientas de explotación como Metasploit

Esto nos da transparencia total sobre las solicitudes generadas por cualquier herramienta, igual que cuando probamos una web en el navegador.

🔗 Cadenas Proxy (proxychains)

En Linux, la herramienta más útil para esto es proxychains, que permite forzar a cualquier programa a usar un proxy.

🔧 Edita la configuración:

sudo nano /etc/proxychains.conf

Al final del archivo:

❌ Comenta la línea:

#socks4 127.0.0.1 9050

✔️ Agrega:

http 127.0.0.1 8080

(8080 = puerto por defecto de Burp/ZAP)

▶️ Uso recomendado: modo silencioso (-q)

Esto evita que proxychains llene el terminal con mensajes de conexión.

Ejemplo usando cURL:

proxychains -q curl http://SERVER_IP:PORT

Salida esperada:

<!DOCTYPE html>
<html lang="en">
<head>…</head>
<body>…</body>
</html>

Y si vuelves a Burp/ZAP, verás la solicitud interceptada ✔️

🛠️ Metasploit + Proxy Web

También podemos forzar el tráfico web generado por Metasploit a pasar por nuestro proxy.

Abrimos Metasploit:
```
msfconsole
```
Seleccionamos un módulo (ejemplo: scanner de robots.txt):
```
use auxiliary/scanner/http/robots_txt
```
Configuramos el proxy:
```
set PROXIES HTTP:127.0.0.1:8080
```
Configuramos objetivo:
```
set RHOST SERVER_IP
set RPORT PORT
```
Ejecutamos:
```
run
```

Metasploit mostrará la ejecución, pero lo importante es que todas las solicitudes pasarán por Burp/ZAP, visibles en el historial:

📄 Ejemplo en el proxy:

GET /robots.txt → 404 Not Found

🧩 ¿Por qué usar proxies en herramientas CLI / thick clients?

Porque nos permite:

🔍 Ver exactamente qué solicitudes envía la herramienta
✏️ Modificar cargas útiles antes de enviarlas
📤 Repetir solicitudes fácilmente con Repeater
🐞 Depurar tráfico de herramientas automatizadas
🔧 Comprender cómo funcionan clientes propietarios o cerrados
🕵️ Identificar parámetros ocultos o comportamientos inesperados

✔️ Compatibilidad amplia

Puedes usar tus proxies web con:

Python scripts (requests, urllib3, etc.)
Node.js apps
Java thick clients
Escáneres automáticos
Clientes móviles (con configuración de proxy)
Burp Collaborator / ZAP plugins
Herramientas como wfuzz, nikto, gobuster, ffuf…

Basta con especificar el proxy HTTP → 127.0.0.1:8080.